Charte des lois sur la protection de la vie privée

Date – Sortie le 01/01/2020

Dernière modification le – 12/06/2023

Applicabilité:

Ce document (« Exigences ») fait partie intégrante et juridiquement contraignante de tout contrat-cadre de services, énoncé de travail ou autre contrat (« Contrat ») entre Shaip (« Société ») et le prestataire de services (« Fournisseur/pigiste/consultants »).

1. Définitions

Aux fins des présentes Exigences, les termes suivants auront la signification indiquée ci-dessous :

• « Lois applicables en matière de protection des données » désigne toutes les lois, règles et réglementations internationales, fédérales, étatiques et locales applicables au traitement des données personnelles, y compris, mais sans s'y limiter, le RGPD, le RGPD britannique, le CCPA/CPRA, le HIPAA, le PIPEDA et le LGPD.
• « Données de l’entreprise » désigne l'ensemble des données, informations et documents, sous quelque forme ou support que ce soit, fournis au Fournisseur par ou au nom de la Société, ou collectés, générés, dérivés, pseudonymisés, anonymisés (si la réversibilité est possible) ou traités par le Fournisseur pour le compte de la Société. Cela inclut les Données du Projet et toutes les Données Personnelles.
• « Violation de données » désigne toute violation réelle ou suspectée de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès accidentel ou illégal aux données de la société.
• « Le PIB est » désigne le règlement général sur la protection des données (UE) 2016/679.
• "Données personnelles" désigne toute information relative à une personne physique identifiée ou identifiable (« Personne concernée ») contenue dans les Données de la Société.
• « Données personnelles sensibles » désigne toute catégorie de données considérée comme sensible en vertu des lois applicables en matière de protection des données, y compris, mais sans s'y limiter, l'origine raciale ou ethnique, les opinions politiques, les croyances religieuses ou philosophiques, l'appartenance syndicale, les données génétiques, les données biométriques, les données concernant la santé ou les données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.
• "En traitement" désigne toute opération effectuée sur les Données de l'Entreprise, telle que la collecte, l'enregistrement, l'organisation, le stockage, l'adaptation, la récupération, l'utilisation, la divulgation, la diffusion ou la destruction.
• « Données du projet » désigne les données spécifiques (par exemple, voix, image, texte) collectées ou créées par le Vendeur dans le cadre des services fournis à la Société.
• "Sous-traitant" désigne tout tiers engagé par le Vendeur pour traiter les Données de l'Entreprise.

2. Rôle et obligations du fournisseur

2.1 Rôle de sous-traitant. Le fournisseur reconnaît qu'il agit en qualité de « sous-traitant » ou de « sous-traitant » pour le compte de la société dans le cadre du traitement des données de cette dernière. Le fournisseur ne détient aucun droit de propriété ni aucun droit indépendant sur les données de la société.

2.2 Traitement sur instruction. Le Prestataire ne peut traiter les Données de la Société que conformément aux instructions documentées et licites de cette dernière, notamment celles stipulées dans le Contrat et les Cahiers des charges pertinents. Il est expressément interdit au Prestataire de traiter les Données de la Société à ses propres fins ou à toute autre fin non expressément autorisée par la Société. Les instructions précisent les exigences en matière de conservation et de suppression des données. Si le Prestataire estime qu'une instruction enfreint la législation applicable en matière de protection des données, il doit en informer immédiatement la Société.

2.3 Conformité aux lois. Le fournisseur garantit et déclare qu'il se conformera à toutes les lois applicables en matière de protection des données dans le cadre de l'exécution du présent contrat et qu'il informera rapidement la société si une loi empêche la conformité ou exige la divulgation de données de la société (par exemple, des demandes d'accès du gouvernement).

3. Mesures de sécurité techniques et organisationnelles

3.1 Normes de sécurité. Le fournisseur doit mettre en œuvre et maintenir des mesures de sécurité techniques et organisationnelles appropriées afin de protéger les données de l'entreprise contre toute violation de données. Ces mesures doivent être proportionnées au niveau de risque et à la nature des données et doivent, au minimum, inclure :

1. Cryptage: Cryptage de toutes les données de l'entreprise au repos et en transit.
2. Contrôle d'Accès : Contrôles d'accès stricts basés sur le moindre privilège, garantissant que seul le personnel autorisé a accès aux données de l'entreprise.
3. Minimisation des données : Collecter et traiter uniquement la quantité minimale de données personnelles nécessaires au projet spécifié.
4. Environnements sécurisés : S'assurer que tous les systèmes utilisés pour traiter les données de l'entreprise sont configurés, corrigés, enregistrés et surveillés de manière sécurisée.
5. Suppression sécurisée : Mise en œuvre de processus de suppression sécurisée et permanente des données de l’entreprise sur instruction de l’entreprise, y compris la suppression des sauvegardes.
6. Sécurité physique: Sécurisation de tous les emplacements physiques et appareils où les données de l'entreprise sont stockées ou consultées.
7. Tests et surveillance : Tests de pénétration réguliers, évaluations de vulnérabilité et surveillance continue.
8. Continuité de l'activité: Maintenir les plans de réponse aux incidents, de reprise après sinistre et de continuité des activités.

4. Sous-traitance

4.1 Consentement préalable requis. Le fournisseur ne peut faire appel à aucun sous-traitant pour le traitement des données de l'entreprise sans le consentement écrit préalable et spécifique de cette dernière.

4.2 Transfert des obligations. Si le consentement est accordé, le Fournisseur doit conclure avec le Sous-traitant un accord écrit lui imposant des obligations de protection des données identiques ou plus strictes que celles imposées au Fournisseur par les présentes Exigences.

4.3 Liste des sous-traitants. Le fournisseur doit tenir à jour une liste de ses sous-traitants et la communiquer à la société sur simple demande. La société se réserve le droit de refuser tout sous-traitant à tout moment.

4.4 Responsabilité totale. Le Fournisseur demeure pleinement responsable envers la Société de l'exécution des obligations du Sous-traitant et de tout acte ou omission de ce dernier.

5. Notification et gestion des violations de données

5.1 Notification immédiate. Le fournisseur doit informer la société par écrit sans délai indu, et en aucun cas plus de vingt-quatre (24) heures après avoir pris connaissance de toute violation de données.

5.2 Détails de l'infraction. La notification doit au minimum comporter les éléments suivants :

1. Décrivez la nature de la violation de données, y compris les catégories et le nombre approximatif de personnes concernées et d’enregistrements de données concernés.
2. Indiquez le nom et les coordonnées du délégué à la protection des données du fournisseur ou de tout autre point de contact compétent.
3. Décrivez les conséquences probables de la violation de données.
4. Décrivez les mesures prises ou proposées par le fournisseur pour remédier à la violation de données et atténuer ses effets.

5.3 Mises à jour régulières. Le fournisseur fournira des mises à jour régulières jusqu'à la résolution complète de l'incident.

5.4 Coopération. Le Fournisseur coopérera pleinement avec la Société dans le cadre de l'enquête, de la correction et de la notification de toute violation de données. Le Fournisseur supportera tous les coûts liés à une violation de données dans la mesure où celle-ci résulte d'un manquement de sa part aux présentes exigences.

6. Transferts internationaux de données

6.1 Le Prestataire ne peut transférer les Données de l'Entreprise au-delà des frontières internationales sans l'accord écrit préalable de l'Entreprise. Le Prestataire doit préciser tous les pays dans lesquels il traitera les Données de l'Entreprise.

6.2 Le cas échéant, le fournisseur accepte de conclure des clauses contractuelles types (CCT), des règles d'entreprise contraignantes (REC), l'avenant britannique ou tout autre mécanisme exigé par la société pour garantir des transferts de données licites.

6.3 Le fournisseur doit se conformer aux exigences locales de résidence des données, le cas échéant.

7. Audits et inspections

La Société, ou son auditeur tiers désigné, aura le droit de réaliser des audits, à ses frais, afin de vérifier la conformité du Fournisseur aux présentes Exigences. Le Fournisseur fournira toutes les informations et la documentation nécessaires, ainsi que l'accès aux installations et au personnel.

Le fournisseur doit se soumettre régulièrement à des certifications tierces (par exemple, ISO 27001, SOC 2) et/ou à des auto-évaluations, et remédier rapidement à toute lacune identifiée lors des audits ou des évaluations dans un délai mutuellement convenu.

8. Assistance relative aux droits des personnes concernées

Le Fournisseur informera la Société dans les meilleurs délais, et au plus tard dans les quarante-huit (48) heures, de toute demande d'exercice des droits d'une Personne Concernée (par exemple, accès, rectification, effacement, portabilité). Le Fournisseur ne répondra pas directement à ces demandes, sauf instruction contraire de la Société, et fournira toute l'assistance nécessaire pour permettre à la Société d'y répondre.

9. Retour et suppression des données

À la résiliation du Contrat ou à la demande de la Société, le Fournisseur devra, au choix de la Société, supprimer ou restituer de manière sécurisée toutes les Données de la Société dans un délai de trente (30) jours. Le Fournisseur devra garantir la suppression des sauvegardes et fournir une attestation écrite de cette suppression.

10. Catégories particulières de données

10.1 Données de santé (HIPAA) : Si le fournisseur traite des informations de santé protégées (ISP), il reconnaît être un « partenaire commercial » (ou un sous-traitant d’un partenaire commercial) au sens de la loi HIPAA. Le fournisseur doit se conformer aux exigences de la loi HIPAA et signer l’accord de partenariat commercial (APC) de la société.

10.2 Autres données sensibles : Pour les projets impliquant des données personnelles sensibles (y compris des données biométriques ou des données provenant d'enfants), le fournisseur doit obtenir l'approbation de la société et respecter des protocoles de sécurité et de traitement renforcés tels que spécifiés par la société.

11. Indemnisation et responsabilité

Le Vendeur s'engage à défendre, indemniser et dégager de toute responsabilité la Société, ses sociétés affiliées, ses dirigeants et ses clients contre toutes réclamations, responsabilités, dommages, pertes, amendes, pénalités et dépenses (y compris les honoraires d'avocat raisonnables) découlant de ou liés à toute violation des présentes Exigences par le Vendeur, ses employés ou ses Sous-traitants.

La responsabilité ne sera pas limitée pour les violations impliquant des violations de données, des amendes réglementaires, une faute intentionnelle ou une fraude.

12. Dispositions générales

12.1 Primauté. En cas de conflit entre les termes du Contrat et les présentes Exigences, ces dernières prévaudront en matière de protection des données.

12.2 Modification. Les présentes exigences ne peuvent être modifiées que par un avenant écrit signé par les représentants autorisés des deux parties.

12.3 Maintien en vigueur. Les obligations relatives à la confidentialité, à la suppression des données, à la responsabilité et aux droits d'audit demeurent en vigueur après la résiliation du présent Accord.

12.4 Droit applicable. Les présentes exigences sont régies et interprétées conformément au droit applicable stipulé dans l'Accord.